BGH bejaht immateriellen Schadensersatz nach DSGVO: Xing-Nach­richt an fal­sche Person löst große "Sch­mach" aus

Die Quirin-Bank, eine Privatbank aus Berlin, wollte in einem Bewerbungsverfahren mit dem Gehaltswunsch eines Bewerbers nicht mitgehen und teilte ihm dies im Oktober 2018 über Xing mit: "Lieber Herr K., ich hoffe es geht Ihnen gut! Unser Leiter - Herr R. - findet ihr Händler Profil sehr interessant. Jedoch können wir Ihre Gehaltsvorstellungen nicht erfüllen. Er kann 80k + variable Vergütung anbieten. Wäre das unter diesen Gesichtspunkten weiterhin für Sie interessant? (…)"

Durch einen Fehler seitens der Bank gelangte diese Nachricht jedoch nicht nur an den Bewerber selbst, sondern auch an einen Dritten, der am Bewerbungsprozess überhaupt nicht beteiligt war. Besonders pikant dabei: Bewerber und Dritter waren Ex-Kollegen und kannten sich, weil sie seinerzeit in derselben Holding zusammengearbeitet hatten. Überrascht über die ihn eigentlich nichts angehende Nachricht der Bank, leitete der Ex-Kollege dem Bewerber die Nachricht der Bank weiter und fragte, ob es sich um eine Nachricht für ihn handele und ob dieser auf Stellensuche sei. Nach dem Malheur nahm das Unglück für den Mann seinen weiteren Lauf, denn mit dem begehrten Job klappte es nicht. Die Bank teilte ihm mit, dass er für das Bewerbungsverfahren nicht mehr weiter berücksichtigt werden würde. 

Daraufhin begann das gerichtliche Nachspiel: Im Februar 2019 forderte der abgelehnte Bewerber wegen der fehlgeleiteten Xing-Nachricht die beklagte Bank zur Abgabe einer strafbewehrten Unterlassungserklärung, Auskunft über die Datenverarbeitung, Leistung eines Schadensersatzes von mindestens 2.500 Euro sowie Erstattung von Rechtsverfolgungskosten auf. Zwar gab die Bank eine auf die erneute Verbreitung der Xing-Nachricht bezogene strafbewehrte Unterlassungserklärung ab, im Übrigen aber unternahm sie nichts.

Kläger empfindet "Schmach"

Der Bewerber beharrte hingegen auf Erstattung seines immateriellen Schadens gemäß Art. 82 Abs.1 Datenschutzgrundverordnung (DSGVO). Danach hat jede Person, der wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, einen Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter. Er klagte gegen die Bank.

Nach Auffassung des Klägers liegt der Schaden darin, dass mindestens eine weitere Person, die ihn und potenzielle künftige wie ehemalige Arbeitgeber kenne, über Umstände Kenntnis habe, die der Diskretion unterlägen. Es sei zu befürchten, dass der in der gleichen Branche tätige Dritte die in der Nachricht enthaltenen Daten weitergegeben habe oder sich durch ihre Kenntnis als Konkurrent auf etwaige Stellen im Bewerbungsprozess einen Vorteil habe verschaffen können. Zudem empfinde er das "Unterliegen" in den Gehaltsverhandlungen als Schmach, die er nicht an Dritte – vor allem nicht an potenzielle Konkurrenten – weitergegeben hätte.

In den Folgejahren entwickelte sich vor diesem Hintergrund zwischen den Parteien ein veritabler Rechtsstreit. Zunächst wurde dem bloßgestellten Bewerber vom Landgericht Darmstadt Schadensersatz zugesprochen – wenn auch weniger als verlangt (Urt. v. 26.05.2020, Az. 13 O 244/19). Auf die anschließende Berufung der Bank hin wurde der Schadensersatz vom Oberlandesgericht (OLG) Frankfurt jedoch wieder komplett einkassiert (Urt. v. 02.03.2022, Az. 13 U 206/20). Begründung: Zwar handele es sich wegen der Übermittlung personenbezogener Daten an einen unbeteiligten Dritten um einen Verstoß gegen die DSGVO, jedoch habe der Mann den Nachweis eines konkreten Schadens (etwa Ängste, Stress sowie Komfort- und Zeiteinbuße) nicht dargetan. Sein Vortrag, so das OLG, erschöpfe sich in der Darlegung eines Datenschutzverstoßes.

Vom BGH zum EuGH und wieder zurück

Der Bundesgerichtshof (BGH) war nun als Revisionsinstanz am Zug, sah sich jedoch nicht in der Lage, ohne Auslegungshilfe seitens des Europäischen Gerichtshofs (EuGH) die Sache zu entscheiden. Karlsruhe fragte sich: Berechtigt so ein Vorfall den eigentlichen Adressaten überhaupt zum Schadensersatz? Kann er Unterlassung fordern? Wenn ja, nach welchem Gesetz und unter welchen Voraussetzungen? Diese Fragen legte BGH dem EuGH im September 2023 zur Vorabentscheidung vor (Beschl. v. 26.09.2023, Az. VI ZR 97/22).

Im September 2025 entschieden die Luxemburger Richter, dass ein Schadensersatzanspruch aus Art. 82 DSGVO grundsätzlich auch in Fällen wie dem vorliegenden in Betracht komme. Insbesondere könne der immaterielle Schaden auch negative Gefühle umfassen. Also solche, die durch unbefugte Übermittlung, und solche, die durch den Kontrollverlust über die Daten, ihre mögliche missbräuchliche Verwendung oder eine Rufschädigung hervorgerufen werden. Beweisen müsse das der Betroffene. Mit dieser Maßgabe spielte der EuGH den Ball schließlich zurück an den BGH.

Deutschlands oberstes Zivilgericht entschied den Rechtsstreit nun in einem am Dienstag veröffentlichten Urteil und machte dabei vor allem detaillierte Ausführungen zum Schadensersatz (Urt. v. 23.06.2026, Az. VI ZR 97/22). Entgegen der Beurteilung des Berufungsgerichts stehe dem Mann dem Grunde nach ein Schadensersatzanspruch zu, so der VI. Zivilsenat.

Anwendungsbereich der DSGVO eröffnet

Zunächst, stellte der BGH klar, sei der Anwendungsbereich der DSGVO eröffnet: Die von der Bank bei Xing verfasste Nachricht enthalte den Nachnamen des Klägers, sein der Anrede zu entnehmendes Geschlecht sowie Informationen über ein laufendes Bewerbungsverfahren und über die Haltung der Bank zur Bewerbung des Klägers inklusive konkreten Gehaltsvorstellungen und -angeboten. Damit lägen personenbezogene Daten im Sinne des Art. 4 Nr. 1 DSGVO. Für deren Verarbeitung sei die Bank Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO.

Die Versendung der Nachricht durch eine Mitarbeiterin der Beklagten mittels des Messenger-Dienstes eines Online-Portals an einen Dritten stelle eine (teilweise) automatisierte Verarbeitung der personenbezogenen Daten in Form der in Art. 4 Nr. 2 DSGVO beispielhaft genannten Offenlegung durch Übermittlung dar. Mit der Übersendung an die falsche Person habe die Bank gegen Bestimmungen der DSGVO verstoßen, die Verarbeitung der Daten sei gemäß Art. 6 Abs. 1 DSGVO unrechtmäßig gewesen.

Damit widersprach der BGH der Rechtsauffassung der beklagten Bank. Diese vertrat im gesamten Verfahren die Ansicht, dass es sich bei dem streitgegenständlichen Vorgang schon gar nicht um einen Datenschutzverstoß gehandelt habe.

"Schaden" weit auszulegen

Hinsichtlich des immateriell entstandenen Schadens wies der BGH darauf hin, dass der Begriff des "Schadens" in Art. 82 Abs. 1 nach dem Erwägungsgrund 146 Satz 3 DSGVO weit auszulegen sei – " in einer Art und Weise, die den Zielen dieser Verordnung in vollem Umfang entspricht." Der bloße Verstoß gegen die DSGVO reiche nicht, um einen "Schaden" anzunehmen.

Als "Schaden" gelten könne aber jedenfalls auch der nur kurzzeitige Verlust der Kontrolle über die eigenen personenbezogenen Daten. Das ergebe sich aus der Rechtsprechung des EuGH unter Verweis auf den 85. Erwägungsgrund der DSGVO. Schließlich sei auch seitens des EuGH klargestellt worden, dass die durch einen Verstoß gegen die DSGVO ausgelöste (empfundene) Befürchtung einer betroffenen Person, ihre personenbezogenen Daten könnten infolge eines Verstoßes gegen die DSGVO von Dritten missbräuchlich verwendet werden, "für sich genommen" einen immateriellen Schaden im Sinne von Art. 82 Abs. 1 DSGVO darstellen kann, sofern diese Befürchtung samt ihrer negativen Folgen ordnungsgemäß nachgewiesen sei.

Daten-Kontrollverlust für Kläger nicht folgenlos

Im konkreten Fall sah der BGH dies als erfüllt an: Von einem immateriellen Schaden sei spätestens ab dem Zeitpunkt auszugehen, "zu dem der Dritte, an den die Beklagte die personenbezogenen Daten des Klägers unbefugt übermittelt hatte, diese zur Kenntnis und zum Anlass nahm, sich mit einer Rückfrage an den Kläger hinsichtlich dessen Bewerbung bei der Beklagten zu wenden".

Zum einen habe darin bereits eine missbräuchliche Verwendung der Daten gelegen, sodass der mit ihrer Versendung an den Dritten verbundene Kontrollverlust für den Kläger nicht folgenlos geblieben ist. Zum anderen habe der klagende Mann die Befürchtung gehegt, dass der in der gleichen Branche wie er selbst tätige Dritte die in der Nachricht enthaltenen Daten weitergegeben haben könnte oder sich als Konkurrent auf etwaige Stellen einen Vorteil habe verschaffen können. 

Angesichts des Umstands, dass der Dritte nach Kenntnisnahme der Nachricht sich bei dem Bewerber erkundigte, war diese Befürchtung auch hinreichend begründet, so der BGH.

Kein Anspruch auf Unterlassen

Recht bekam allerdings nicht nur der geschädigte Bewerber, sondern auch die Bank, die ebenfalls Revision eingelegt hatte. Sie wandte sich dagegen, dass das OLG dem Kläger einen Anspruch auf Unterlassung der Verarbeitung seiner personenbezogenen Daten gegen sie eingeräumt hatte. Ein solcher Anspruch besteht laut BGH nicht.

Denn wie der EuGH entschieden habe, biete die DSGVO keine Rechtsgrundlage für einen Unterlassungsanspruch, wenn der Betroffene nicht auch die Löschung der Daten verlangt habe. In Betracht komme daher allenfalls ein Anspruch auf Unterlassen nach nationalem Recht, so der BGH. Doch auch dieser sei hier unbegründet: "Denn Voraussetzung für das Bestehen eines Unterlassungsanspruchs nach nationalem Recht ist in jedem Fall, dass künftig (weitere) Beeinträchtigungen der Rechte des Anspruchstellers zu besorgen sind, § 1004 Abs. 1 Satz 2 BGB." An einer solchen Wiederholungsgefahr fehle es hier, so der BGH. 

Das Urteil des VI. Zivilsenats führt nun dazu, dass der Rechtsstreit zur neuen Verhandlung und Entscheidung zurück ans OLG Frankfurt geht (§ 563 Abs. 1 Satz 1 Zivilprozessordnung). Die Bemessung der Höhe des Anspruchs auf immateriellen Schadensersatz nach Art. 82 DSGVO ist nach § 287 ZPO dem Tatrichter vorbehalten.